---
title: "PowerSYSTEM Center の CVE-2026-63017・63774: 権限確認の不備と帳票デザイナーの SQL 実行で、低権限の利用者が管理者向けの資源や不正な SQL を使える恐れ（CISA ICS 勧告）"
url: https://n-t-p.io/worldsecurity/articles/subnet-powersystem-center-cve-2026-63017-63774-authz-report-designer-sqli
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-63017, CVE-2026-63774
---

# PowerSYSTEM Center の CVE-2026-63017・63774: 権限確認の不備と帳票デザイナーの SQL 実行で、低権限の利用者が管理者向けの資源や不正な SQL を使える恐れ（CISA ICS 勧告）

> **TL;DR:** PowerSYSTEM Center に、認証済みの低権限の利用者が管理者向けの資源を使える権限確認の不備（CVE-2026-63017）と、帳票デザイナーから不正な SQL を実行できる欠陥（CVE-2026-63774）。評価は CVSS v4.0 9.4 だが認証済み・隣接ネットワークが前提で severity 案は high。2020 Update 30・2026 Update 1.1 で対応。

**要点**
- CVE-2026-63017: 認証済みの低権限の利用者が、本来は管理者に限られる資源にアクセスできる（CWE-863）。
- CVE-2026-63774: 帳票デザイナーの入力検証不足で、認証済みの利用者が許可されていない SQL を実行できる（CWE-89）。
- 評価は CVSS v4.0 9.4・v3.1 9.0 だが、認証済み（PR:L）かつ隣接ネットワーク（AV:A）が前提のため severity 案は high。
- 対象は 2020（5.29.x まで）・2024（6.0.x〜6.2.x）・2026（7.0.x〜7.1.x）。2020 Update 30、2026 Update 1.1 などへ更新する。
- CISA は特化した公開の悪用を把握していない。ベンダー自身の勧告ページと NVD の最終評価は未確認。

Subnet Solutions の電力システム向け管理ソフト PowerSYSTEM Center に、2 件の欠陥（**CVE-2026-63017・CVE-2026-63774**）が見つかりました。CISA は 2026-11-03 に ICS 勧告 ICSA-26-307-01 を出し、NVD には 2026-11-06 に登録されました（NVD の状態は Received＝受付済み）。

## 何が起きるか
- **CVE-2026-63017（権限確認の不備）**: 認証済みの低権限の利用者が、本来は管理者に限られる資源にアクセスできます。弱点の種別は CWE-863（不適切な認可）です。ベンダーは対策の一つとして、Client Access Server の利用者がブラウザーの開発者ツール（F12）を使えないようにすることを挙げています。
- **CVE-2026-63774（SQL の実行）**: 帳票デザイナー（report designer）の入力検証が不十分で、認証済みの利用者が許可されていない SQL コマンドを実行できます。弱点の種別は CWE-89（SQL インジェクション）です。
- CISA は、この 2 件が成功すると「許可されていない SQL コマンドの実行と、許可されていない資源へのアクセス」につながる恐れがあるとしています。
- CISA は、これらに特化した公開された悪用は把握していないとしています。また「リモートからは悪用できない」と書いています。攻撃元の区分は隣接ネットワーク（AV:A）です。
- 影響する分野は重要製造業とエネルギー、展開地域は世界、ベンダーの本社はカナダと記載されています。

## 影響を受ける版と修正
| 製品 | 影響する版 | 対策 |
|---|---|---|
| PowerSYSTEM Center 2020 | 5.29.x まで | 2020 Update 30 に更新（CVE-2026-63017 のみ該当） |
| PowerSYSTEM Center 2024 | 6.0.x〜6.2.x | 2026 Update 1.1 へ更新（ベンダー推奨の移行先） |
| PowerSYSTEM Center 2026 | 7.0.x〜7.1.x | 2026 Update 1.1 に更新 |

- CVE-2026-63774 は 2024 と 2026 が対象です。2020 は CISA の対象製品に入っていません。
- 更新の相談先は、ベンダーのシステム統合チームまたはサポート窓口と記載されています。

## 評価
| 評価元 | 版 | 点数 | ベクターの要点 |
|---|---|---|---|
| NVD に載る CISA（ICS-CERT）の評価（Secondary） | CVSS v4.0 | 9.4（両 CVE） | AV:A/AC:L/PR:L/UI:N・機密性・完全性・可用性とも高 |
| CISA ICS 勧告 | CVSS v3.1 | 9.0（両 CVE） | AV:A/AC:L/PR:L/UI:N/S:C・C/I/A とも高 |

- どちらも**認証済み（PR:L）**で、**隣接ネットワークからの攻撃（AV:A）**が前提です。点数は 9 以上ですが、「認証なしで 9 以上」の critical の基準には当たらないため、severity は **high** を案とします。確定はオーナーの判断待ちです。
- CISA の SSVC（優先度判定）は、悪用（Exploitation）なし・自動化（Automatable）なし・技術的影響（Technical Impact）は全面（Total）です。
- FIRST の EPSS は、取得時点（2026-11-06）で値が算出されていません。CISA の KEV には、手元の状態ファイル上で掲載がありません。

## 対策として考えられること
1. 該当する版を、上の表のベンダー推奨の版に更新します。
2. 更新できない間は、ベンダーの案内どおり、利用者の操作記録を監視し、利用規程に沿った使い方かを確かめます。
3. CVE-2026-63774 は、帳票デザイナーを使う必要のない利用者のアクセスを止めます。
4. CVE-2026-63017 は、Client Access Server の利用者がブラウザーの開発者ツール（F12）を使えないようにします。
5. CISA の一般的な推奨に従い、制御システムをインターネットに公開せず、ファイアウォールの内側で業務ネットワークから分離します。遠隔接続は VPN など安全な方法に限ります。

## 未確認の点
- 実際の悪用の有無（CISA は特化した悪用の報告を把握していないとしています）。
- 悪用の難しさの詳細（再現手順は公開情報に見当たりません）。
- NVD の最終評価（現在は Received で、変わる可能性があります）。
- 本稿はベンダー自身の勧告ページを開いていません。内容は CISA の CSAF 版勧告と NVD によります。


## 出典
- [NVD CVE-2026-63017](https://nvd.nist.gov/vuln/detail/CVE-2026-63017) — NIST NVD
- [NVD CVE-2026-63774](https://nvd.nist.gov/vuln/detail/CVE-2026-63774) — NIST NVD
- [CISA ICS Advisory ICSA-26-307-01](https://www.cisa.gov/news-events/ics-advisories/icsa-26-307-01) — CISA
- [CISA CSAF icsa-26-307-01.json](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-307-01.json) — CISA
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-63017,CVE-2026-63774) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/subnet-powersystem-center-cve-2026-63017-63774-authz-report-designer-sqli